CVE-2026-82209

Nome do Software Vulnerável e Versões Afetadas curl (versões afetadas não especificadas)

Descrição Quando o suporte ao libpsl está habilitado, o software falha ao aplicar a verificação de limite da Public Suffix List ao processar um cabeçalho Set-Cookie. Isso ocorre quando o atributo Domain corresponde explicitamente a um host de origem que é um sufixo público, como co.uk. Em vez de tratá-lo como um cookie estrito apenas para o host, o sistema o salva com um escopo de domínio curinga (.co.uk). Consequentemente, o cookie é incluído inadequadamente em requisições subsequentes ou redirecionamentos HTTP para subdomínios irmãos arbitrários sob o mesmo sufixo público, como attacker.co.uk.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.